知识大全如何提高SQL Server的安全性

Posted 2022-07-15 帐户

篇首语：厌伴老儒烹瓠叶，强随举子踏槐花。本文由小常识网(cha138.com)小编为大家整理，主要介绍了知识大全如何提高SQL Server的安全性相关的知识，希望对你有一定的参考价值。

如何提高SQL Server的安全性？（下） 以下文字资料是由(全榜网网www.cha138.com)小编为大家搜集整理后发布的内容，让我们赶快一起来看一下吧！

　　 限制 SQL Server服务的权限

　　SQL Server 和 SQL Server Agent 是作为 Windows 服务运行的每个服务必须与一个 Windows 帐户相关联并从这个帐户中衍生出安全性上下文 SQL Server允许sa 登录的用户（有时也包括其他用户）来访问操作系统特性这些操作系统调用是由拥有服务器进程的帐户的安全性上下文来创建的如果服务器被攻破了那么这些操作系统调用可能被利用来向其他资源进行攻击只要所拥有的过程（SQL Server服务帐户）可以对其进行访问因此为 SQL Server 服务仅授予必要的权限是十分重要的

　　我们推荐您采用下列设置

　　* SQL Server Engine/MSSQLServer

　　如果拥有指定实例那么它们应该被命名为MSSQL$InstanceName 作为具有一般用户权限的 Windows 域用户帐户运行不要作为本地系统本地管理员或域管理员帐户来运行

　　* SQL Server Agent Service/SQLServerAgent

　　如果您的环境中不需要请禁用该服务否则请作为具有一般用户权限的Windows域用户帐户运行不要作为本地系统本地管理员或域管理员帐户来运行

　　重点如果下列条件之一成立那么 SQL Server Agent 将需要本地 Windows管理员权限

　　* SQL Server Agent 使用标准的 SQL Server 身份验证连接到SQL Server（不推荐）

　　* SQL Server Agent 使用多服务器管理主服务器（MSX）帐户而该帐户使用标准 SQL Server 身份验证进行连接

　　* SQL Server Agent 运行非sysadmin固定服务器角色成员所拥有的 Microsoft ActiveX®脚本或 CmdExec 作业

　　如果您需要更改与 SQL Serve r服务相关联的帐户请使用 SQL Server Enterprise Manager Enterprise Manager 将为 SQL Server 所使用的文件和注册表键设置合适的权限不要使用 Microsoft 管理控制台的服务（在控制面板中）来更改这些帐户因为这样需要手动地调制大量的注册表键和NTFS文件系统权限以及Micorsoft Windows用户权限

　　帐户信息的更改将在下一次服务启动时生效如果您需要更改与 SQL Server 以及 SQL Server Agent 相关联的帐户那么您必须使用 Enterprise Manager 分别对两个服务进行更改

　　 在防火墙上禁用 SQL Server 端口

　　SQL Server 的默认安装将监视 TCP 端口以及UDP端口配置您的防火墙来过滤掉到达这些端口的数据包而且还应该在防火墙上阻止与指定实例相关联的其他端口

　　 使用最安全的文件系统

　　NTFS 是最适合安装 SQL Server 的文件系统它比 FAT 文件系统更稳定且更容易恢复而且它还包括一些安全选项例如文件和目录 ACL 以及文件加密（EFS）在安装过程中如果侦测到 NTFS SQL Server 将在注册表键和文件上设置合适的 ACL 不应该去更改这些权限

　　通过 EFS 数据库文件将在运行 SQL Server 的帐户身份下进行加密只有这个帐户才能解密这些文件如果您需要更改运行 SQL Server 的帐户那么您必须首先在旧帐户下解密这些文件然后在新帐户下重新进行加密

　　 删除或保护旧的安装文件

　　SQL Server 安装文件可能包含由纯文本或简单加密的凭证和其他在安装过程中记录的敏感配置信息这些日志文件的保存位置取决于所安装的SQL Server版本在 SQL Server 中下列文件可能受到影响默认安装时:\\Program Files\\Microsoft SQL Server\\MSSQL\\Install文件夹中以及指定实例的:\\Program Files\\Microsoft SQL Server\\ MSSQL$\\Install文件夹中的sqlstp log sqlsp log和setup iss

　　如果当前的系统是从 SQL Server 安装升级而来的那么还应该检查下列文件 %Windir% 文件夹中的setup iss以及Windows Temp文件夹中的sqlsp log

　　Microsoft发布了一个免费的实用工具 Killpwd 它将从您的系统中找到并删除这些密码

　　 审核指向 SQL Server 的连接

　　SQL Server 可以记录事件信息用于系统管理员的审查至少您应该记录失败的 SQL Server 连接尝试并定期地查看这个日志在可能的情况下不要将这些日志和数据文件保存在同一个硬盘上

　　要在 SQL Server 的 Enterprise Manager 中审核失败连接请按下列步骤操作

　　（）展开服务器组　　（）右键点击服务器然后点击属性

　　（）在安全性选项卡的审核等级中点击失败

cha138/Article/program/SQLServer/201311/22459

知识大全 如何提高SQL Server的安全性

知识大全如何提高SQL Server的安全性